Экспертам удалось взломать код трояна Mad Max

Экспертам удалось взломать код трояна Mad Max

Экспертам удалось взломать код трояна Mad Max

Исследователям из Arbor Networks удалось взломать сложный обфусцированный алгоритм генерации доменных имен (DGA), принадлежащий Mad Max, трояну, который создал ботнет из зараженных компьютеров, находящихся в 16 разных странах.

Экспертам удалось найти все домены, с которыми вредоносная программа связывалась начиная с 2015 года. Анализ трояна раскрыл некоторые его особенности и характеристики, но исследователи Arbor планируют отложить публикацию этих данных на более поздний срок. 

Вредонос Mad Max на Virus Total имеет только эвристические детекты. При попадании в систему, он внедряет несколько DLL-файлов, которые затем выполняются с помощью rundll32.exe. Код троянца в основном состоит из фиктивных инструкций, таким образом, он пытается использовать метод обфускации кода.

Исследователи говорят, что этот метод достаточно эффективен и ставит сложную задачу, как для дизассемблеров, так и для человека, сталкивающегося с кучей фальшивого кода при обратной разработке. По словам Джэффа Эдвардса (Jeff Edwards), эксперта Arbor, этот метод обфускации становится все более популярным среди киберпреступников.

Однако исследователям удалось создать деобфускатор, способный выявить в коде настоящие команды среди фиктивных. После того, как поддельные команды в коде были удалены, исследователи обнаружили, что троян действительно использовал DGA.

Каждую неделю вредонос меняет домен, к которому он подключается, при этом используя для генерации доменного имени шаблон, зависящий от текущей недели месяца. В частности, он будет генерировать домен .com для первой недели месяца, затем перейдет к .org, далее к .info и в конце месяца будет использовать .net, говорят исследователи.

Также экспертам удалось обнаружить, что троянец уже успел заразить компьютеры в шестнадцати странах мира, среди которых Бразилия, Канада, Китай, Финляндия, Франция, Германия, Индия, Италия, Япония, Южная Корея, Норвегия, Тайвань, Таиланд, Украина, Соединенное Королевство, Соединенные Штаты Америки.

Исследователям из Arbor Networks удалось получить полный список доменов, к которым подключался или будет подключаться троян Mad Max. В скором времени они планируют опубликовать остальную информацию, касающуюся трояна.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Ирландия передала США украинца в рамках дела о шифровальщике Conti

После экстрадиции 43-летний житель Ирландии Олексий Литвиненко предстал перед судом как фигурант уголовного дела, открытого в штате Теннеси два года назад. Украинца обвиняют в причастности к вымогательству с использованием Conti.

По данным ФБР, названный шифровальщик собрал более 1000 жертв в 30+ странах. Авторы атак с применением Conti суммарно получили не менее $150 млн в виде выкупа.

Согласно материалам дела, в период с 2020 года по июнь 2022-го Литвиненко контролировал кражу данных из зараженных сетей и отвечал за записки с требованием выкупа, которые тот оставлял в системах жертв.

Арест подозреваемого в Ирландии по запросу американских властей произошел в июле 2023 года. Процедуры, связанные с экстрадицией, заняли много времени и в этом месяце были, наконец, завершены.

В США уроженцу Украины инкриминируют преступный сговор с целью совершения мошеннических действий с использованием вычислительной техники и проводной связи. По совокупности обвиняемому грозит до 25 лет лишения свободы.

По данному делу проходят еще четверо иностранцев — специалист по криптозащите кода Максим Галочкин, программист Максим Руденский и два предполагаемых менеджера Conti-операций, Михаил Царев и Андрей Жуков. Их судьба пока неизвестна.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru